网络安全原理--第2章 网络安全基础(2)
网络安全期末备考必备——选择题 打印
第1章网络安全概论 (1) 计算机网络安全是指利用计算机网络管理控制和技术措施，保证在网络环境中数据的、完整性、网络服务可用性和可审查性受到保护。
A．机密性 B．抗攻击性C．网络服务管理性 D．控制安全性(2) 网络安全的实质和关键是保护网络的安全。
A．系统 B．软件C．信息 D．网站(3) 下面不属于TCSEC标准定义的系统安全等级的4个方面是。
A．安全政策 B．可说明性C．安全保障 D．安全特征(4) 在短时间内向网络中的某台服务器发送大量无效连接请求，导致合法用户暂时无法访问服务器的攻击行为是破坏了。
A．机密性 B．完整性C．可用性 D．可控性(5)如果访问者有意避开系统的访问控制机制，则该访问者对网络设备及资源进行非正常使用属于。
A．破环数据完整性 B．非授权访问C．信息泄漏 D．拒绝服务攻击答案: (1) A (2) C (3) D (4) C (5) B第2章网络安全技术基础（1）SSL协议是（）之间实现加密传输的协议。
A.物理层和网络层B.网络层和系统层C.传输层和应用层D.物理层和数据层（2）加密安全机制提供了数据的（）。
A.可靠性和安全性B.保密性和可控性C.完整性和安全性D.保密性和完整性（3）抗抵赖性服务对证明信息的管理与具体服务项目和公证机制密切相关，通常都建立在（）层之上。
A.物理层B.网络层C.传输层D.应用层（4）能在物理层、链路层、网络层、传输层和应用层提供的网络安全服务的是（）。
A.认证服务B.数据保密性服务C.数据完整性服务D.访问控制服务（5）传输层由于可以提供真正的端到端的连接，最适宜提供（）安全服务。
A.数据保密性B.数据完整性C.访问控制服务D.认证服务解答:（1）C （2）D （3）D （4）B （5）B第3章网络安全管理技术（1）计算机网络安全管理主要功能不包括（）。
A.性能和配置管理功能B.安全和计费管理功能C.故障管理功能D.网络规划和网络管理者的管理功能（2）网络安全管理技术涉及网络安全技术和管理的很多方面，从广义的范围来看（）是安全网络管理的一种手段。
网络信息安全课程《网络信息安全》教学大纲(2014-2015)
《网络信息安全》课程教学大纲一、课程总述本课程大纲是以2012年软件工程本科专业人才培养方案为依据编制的。
二、教学时数分配三、单元教学目的、教学重难点和内容设置第1章网络安全概述与环境配置【教学目的】了解内容：网络面临的安全威胁、信息系统安全的脆弱性、保证网络安全的途径；理解内容：网络安全的攻防体系、研究网络安全的必要性及其社会意义掌握内容：信息系统安全评估标准；熟练掌握内容：网络安全实验环境的配置及网络抓包软件的使用【重点难点】重点：网络安全的攻防体系、研究网络安全的必要性难点：研究网络安全的必要性【教学内容】1.1 信息安全概述1.2 网络安全概述1.3 研究网络安全的必要性1.4 研究网络安全的社会意义1.5 网络安全的相关法规1.6 网络安全的评价标准1.7 环境配置【课时要求】7节第2章网络安全协议基础【教学目的】了解内容：OSI参考模型和TCP/IP协议组理解内容：IP/TCP/UDP/ICMP协议的工作原理掌握内容： IP/TCP/UDP/ICMP协议的结构分析熟练掌握内容：常用的网络服务和网络命令【重点难点】重点：IP/TCP/UDP/ICMP协议的工作原理难点：IP/TCP/UDP/ICMP协议的结构分析【教学内容】2.1 OSI参考模型2.2 TCP/IP协议族2.3 网际协议IP2.4 传输控制协议TCP2.5 用户数据报协议UDP2.6 ICMP协议2.7 常用的网络服务2.8 常用的网络命令【课时要求】7节第3章网络空全编程基础【教学目的】了解内容：网络安全编程的基础知识理解内容：C和C++的几种编程模式掌握内容：网络安全编程的常用技术熟练掌握内容：注册表编程、定时器编程、驻留程序编程【重点难点】重点：网络安全编程的常用技术难点：注册表编程、定时器编程、驻留程序编程【教学内容】3.1 网络安全编程概述3.2 C和C++的几种编程模式3.3 网络安全编程【课时要求】10节第4章网络扫描与网络监听【教学目的】了解内容：黑客以及黑客攻击的基本概念理解内容：黑客攻击与网络安全的关系掌握内容：如何利用工具实现网络踩点、网络扫描和网络监听熟练掌握内容：黑客攻击的常用工具【重点难点】重点：黑客攻击的步骤难点：如何利用工具实现网络踩点、网络扫描和网络监听【教学内容】4.1 黑客概述4.2 网络踩点4.3 网络扫描4.4 网络监听【课时要求】5节第5章网络入侵【教学目的】了解内容：网络入侵的基本概念理解内容：社会工程学攻击、物理攻击、暴力攻击掌握内容：利用Unicode漏洞攻击和缓冲区溢出漏洞进行攻击的技术熟练掌握内容：流行攻击工具的使用和部分工具的代码实现【重点难点】重点：流行攻击工具的使用和部分工具的代码实现难点：利用Unicode漏洞攻击和缓冲区溢出漏洞进行攻击的技术【教学内容】5.1 社会工程学攻击5.2 物理攻击与防范5.3 暴力攻击5.4 Unicode漏洞专题5.5 其他漏洞攻击5.6 缓冲区溢出攻击5.7 拒绝服务攻击5.8 分布式拒绝服务攻击【课时要求】8节第6章网络后门与网络隐【教学目的】了解内容：利用四种方法实现网络后门理解内容：网络隐身的两种方法掌握内容：利用四种方法实现网络后门熟练掌握内容：常见后门工具的使用【重点难点】重点：利用四种方法实现网络后门难点：常见后门工具的使用【教学内容】6.1 网络后门6.2 木马6.3 网络代理跳板6.4 清除日志【课时要求】5节第7章恶意代码【教学目的】了解内容：恶意代码的发展史理解内容：研究恶意代码的必要性、恶意代码长期存在的原因掌握内容：恶意代码实现机理熟练掌握内容：恶意代码的设计与实现【重点难点】重点：恶意代码的设计与实现难点：恶意代码的设计与实现【教学内容】7.1 恶意代码概述7.2 恶意代码实现机理7.3 常见的恶意代码【课时要求】5节第8章操作系统安全基础【教学目的】了解内容：操作系统安全的基本概念理解内容：操作系统安全的实现机制、安全模型及安全体系结构掌握内容：操作系统安全的36条基本配置原则熟练掌握内容：Windows操作系统的安全配置方案【重点难点】重点：Windows操作系统的安全配置方案难点：Windows操作系统的安全配置方案【教学内容】8.1 常用操作系统概述8.2 安全操作系统的研究发展8.3 安全操作系统的基本概念8.4 安全操作系统的机制8.5 代表性的安全模型8.6 操作系统安全体系结构8.7 操作系统安全配置方案【课时要求】5节第9章密码学与信息加密【教学目的】了解内容：密码学的基本概念、数字水印的基本概念理解内容：主流加密技术、数字签名的原理、PGP加密的原理和实现及PKI信任模型掌握内容：DES加密算法的概念以及如何利用程序实现、RSA加密算法的概念以及实现算法熟练掌握内容：DES加密算法的概念以及如何利用程序实现【重点难点】重点：主流加密技术、数字签名的原理及PKI信任模型难点：如何利用程序实现主流加密算法【教学内容】9.1 密码学概述9.2 des对称加密技术9.3 rsa公钥加密技术9.4 pgp加密技术9.5 数字信封和数字签名9.6 数字水印9.7 公钥基础设施pki【课时要求】10节第10章防火墙与入侵检测【教学目的】了解内容：利用软件实现防火墙的规则集理解内容：防火墙的基本概念、分类、入侵检测系统的概念、原理及常用方法掌握内容：防火墙的实现模型、如何利用程序实现简单的入侵检测熟练掌握内容：防火墙的配置【重点难点】重点：防火墙的配置难点：入侵检测工具的编程实现【教学内容】10.1 防火墙的概念10.2 防火墙的分类10.3 常见防火墙系统模型10.4 创建防火墙的步骤10.5 入侵检测系统的概念10.6 入侵检测的方法10.7 入侵检测的步骤【课时要求】8节第11章IP安全与WEB安全【教学目的】了解内容：IPSec的必要性理解内容： IPSec中的AH协议、ESP协议和密钥交换协议掌握内容： VPN的功能和解决方案、Web安全的3个方面，SSL和TLS安全协议的内容与体系结构熟练掌握内容：VPN的解决方案【重点难点】重点：VPN的功能和解决方案、Web安全的3个方面、SSL和TLS安全协议的内容与体系结构难点：VPN的解决方案【教学内容】11.1 IP安全概述11.2 密钥交换协议IKE11.3 VPN技术11.4 WEB安全概述11.5 SSL/TLS技术11.6 安全电子交易SET简介【课时要求】3节第12章网络安全方案设计【教学目的】了解内容：网络安全方案设计方法理解内容：评价网络安全方案的质量的标准掌握内容：网络安全方案编写的注意点以及网络安全方案的编写框架熟练掌握内容：网络安全方案设计的基本步骤【重点难点】重点：网络安全的需求分析、方案设计难点：网络安全方案的设计【教学内容】12.1 网络安全方案概念12.2 网络安全方案的框架12.3 网络安全案例需求12.4 解决方案设计【课时要求】7节四、教材1、《计算机网络安全教程（第2版）》，石志国、薛为民、尹浩，清华大学出版社、北京交通大学出版社，2011年2月；2、《计算机网络安全教程实验指导》，石志国、薛为民、尹浩，清华大学出版社、北京交通大学出版社，2011年10月。
第2章 网络安全(课件)-中职《安全教育》同步教学(劳动版)
某集团老总的儿子，是一名“富二代”。“我目前在经营房地产项目，有资金需求可以 随时找我。”陈某的话让正好需要资金周转的王女士动了心。陈某表示，他现在需要4 000元现金交给家里的会计做一笔“假账”，只要办成了，就可以挣一大笔钱。“我现 在手头没那么多钱，你借给我吧，很快我就能给你23万元。”王女士信以为真，随即见 面，将4 000元现金交给了对方。拿到钱后，陈某迅速消失，并将王女士的微信及电话 拉黑。这时，王女士才知道被骗，只好报警求助。
16
第二节 谨慎网络交友
双重或多重人格是指在一个人身上体现出两重或多重人格，在不同 时间与地点交替出现。由于网络交友过程中普遍采用虚拟的网名，青少 年往往都有自己的虚拟身份，部分青少年在网上交际时经常扮演与自己 实际身份和性格特点相差十分悬殊、甚至截然相反的虚拟角色，有的青 少年还同时拥有多个分别代表着不同身份和性格特点的网名，男扮女、 女扮男的现象也非常普遍。
19
第二节 谨慎网络交友
5.网络交友中充斥着低级趣味 网络是一个缺少有效法律制约与道德规范的自由世界，很多人在聊 天时容易放纵自我，低级趣味泛滥成灾，让人道德沦丧，而由它引发的 道德问题更是不容忽视。
20
第二节 谨慎网络交友
二、网络交友须谨慎
正是由于网络交友存在着重重风险，青少年网民更应该擦亮眼睛、 提高警惕，在网络中谨慎结交朋友。
个人信息是指以电子或者其他方式记录的，能够单独或者与其他信 息结合识别自然人个人身份的各种信息，包括自然人的姓名、出生日期 、身份证号码、个人生物识别信息、住址、电话号码等。
32
第三节 网络信息安全
1.个人信息泄露的主要途径 （1）各种网上单据泄露个人信息。快递包装上的物流单含有网购者 的姓名、电话、住址等信息，网购者收到货物后不经意把快递单扔掉导 致信息泄露。火车票实行实名制后，车票上印有购票者的姓名、身份证 号等信息，很多人会顺手丢弃火车票，一旦被不法分子捡到，则会通过 读票仪器窃取车票上的个人信息。在刷卡购物的纸质对账单上，记录了 姓名、银行卡号、消费记录等信息，随意丢弃同样会造成个人信息泄露 。
[网络与信息安全基础(第2版)][王颖,蔡毅][电子课件] (1)[28页]
![[网络与信息安全基础(第2版)][王颖,蔡毅][电子课件] (1)[28页]](https://img.taocdn.com/s3/m/a1458b6587c24028905fc325.png)
1.4.1 关于口令安全性（续1）
不要在不同系统上，特别是不同级别的用户上使用同一口 令。
为防止眼明手快的人窃取口令，在输入口令时应确认无人 在身边。
1.1.2 加强青少年的网络安全意识
1.2 什么是攻击
1.2.1 1.2.2 1.2.3 1.2.4
收集信息的主要方式 攻击的主要手段 入侵仅发生在入侵行为完全完成，且入 侵者已进入目标网络内的行为称为攻击。但更为积极的观 点是：所有可能使一个网络受到破坏的行为都称为攻击。 即从一个入侵者开始在目标机上工作的那个时刻起，攻击 就开始了。
忽或者不配合，那么攻击者就有可能通过这台计算机，从 内部来攻击其他的计算机。
6. 保持简单（Simplicity） 尽量降低系统的复杂度，越复杂的系统越容易隐藏一些
安全问题，建议不要在一台服务器上配置超过两种以上的 应用。
1.5 安全操作系统简介
操作系统是信息系统安全的基础设施，在信息安全方面起 着决定性的作用。信息系统安全在硬件方面关键是芯片， 在软件方面关键是操作系统。本小节主要讨论操作系统方 面的安全问题。
1.2.4 攻击对象排名
主机运行没有必要的服务。 未打补丁的、过时的应用软件和硬件固件。 信息泄露，通过服务如Gopher、Finger、Telnet、SNMP、
SMTP、Netstat等。 盗用信任关系如Rsh、Rlogin、Rexec。 配置不当的防火墙或路由器ACL（Access Control List,访问
1.4.3 广域网安全
1．加密技术 2．VPN技术 3．身份认证技术
第2章 网络安全协议基础
IP数据报
4.服务类型与优先权 服务类型（SERVICE TYPE）域规定对本数据报的处理方式，占 用8个比特，分为5个子域，其结构如下图所示。
0 优先权 3 D 4 T 5 R 6 7 未用
服务类型子域结构
对服务类型各个子域信息的使用和具体处理是在网关中进行。
IP数据报
5.数据报传输 网络数据都是通过物理网络帧传输的。从主机发出的IP数据报在 其子网接口中封装成帧后，送进与之相连的第一个物理网络。帧的长 度正好就是第一个物理网络所允许的最大帧长度。当此帧到达与第一 个物理网络相连的下一个网关时，在其子网接口中删除帧头，露出IP 数据报，送到IP层。在此IP层查找间接路径表，得到要传送去的下一 个网关的IP地址，并解析出与下一个网关相连的物理网络。将IP数据 报送回子网接口。子网接口根据新的物理网络要求，重新封装数据报， 并传送到新的物理网络。这里要特别强调指出，按照新物理网络技术 重新封装IP数据报成帧是绝对必要的：各种物理网络技术，对帧的大 小有不同的规定。某种物理网络所允许的最长的帧称为该网络的最大 传输单元（Maximum Transfer Unit，MTU）。MTU由硬件决定。不同 物理网络，其MTU一般不相同。此外，不同物理网络其帧头格式一般 也不相同。反过来说，同一个物理网络的各个节点上的MTU是一样的， 帧格式也是一样的。而IP数据报的大小却是由软件决定的，在一定范 围内（比如第4版IP协议规定每一IP数据报最大不能超过65535个字节） 可以任意选择。IP数据报大小的上限也可以通过修改协议版本人为改 变。
3、网络层（Network Layer）
网络层（Network Layer）的主要功能是完成网络中主机间的报文 传输。在广域网中，这包括产生从源端到目的端的路由。 当报文不得不跨越两个或多个网络时，又会产生很多新问题。例 如第二个网络的寻址方法可能不同于第一个网络；第二个网络也 可能因为第一个网络的报文太长而无法接收；两个网络使用的协 议也可能不同等。网络层必须解决这些问题，使异构网络能够互 连。 在单个局域网中，网络层是冗余的，因为报文是直接从一台计算 机传送到另一台计算机的。
《网络安全基础》课程教教学大纲
四川电大省开大专电子商务专业《网络安全基础》课程教课纲领责任教师乔兴媚第一部分纲领说明一、课程的性质和任务《网络安全基础》课程是四川电大省开（专科）电子商务专业选修的一门课程。
学生在学习本课程以前应当具备计算机系统和计算机网络的预备知识。
本课程的任务是1．使学生对网络安全技术从整体上有一个较全面的认识。
2．认识目前计算机网络安全技术面对的挑战和现状。
3．认识网络安全技术研究的内容，掌握有关的基础知识。
4．掌握网络安全系统的架构，认识常有的网络攻击手段，掌握入侵检测的技术和手段。
5．认识网络安全应用领域的基础知识。
总之，学习完本课程后，学生应当拥有较系统的网络安全知识，并在实质应用时具备必定的防备非法入侵、保护系统安全性的能力。
二、先修课要求计算机网络知识、计算机操作三、课程特色和教课要求因为网络安全波及的知识范围很广，新的技术也不停出现，所以在重申基本观点和基来源理、侧重叙述基本安全技术和安全系统架构的基础上，还应增强理论联系实质，突出各项技术的适用性。
四、课程教课要求的层次1．掌握：要修业生可以全面掌握所学内容和方法，深入理解其科学内涵，并可以用所学方法剖析问题。
2．理解：要修业生可以较好地理解所学识题和方法，并能进行简单的剖析和判断。
3．认识：要修业生可以一般地认识所学内容, 不作查核要求。
第二部分教课媒体使用和教课过程建议一、学时分派课程教课总学时54 学时， 3 学分教学内容第一章网络基础知识与因特网第二章操作系统与网络安全课内学时8 学时4 学时第三章网络安全概括8 学时第四章计算机系统安全与接见控制 4 学时第五章数据库系统安全 5 学时第六章计算机病毒的防治8 学时第七章数据加密 4 学时第八章防火墙技术 5 学时第九章网络站点的安全8 学时共计54 学时二、课程教材主教材：《计算机网络安全基础》，袁津生、吴砚农编著，人民邮电第一版社第一版，2002 年 2 月。
三、教课反应经过信函、电子邮件、传真或电话联系。
2网络安全理论与技术(第二讲)
开放系统互连标准（OSI/RM）
在物理层，可以在通信线路上采用某些技术使得搭线偷 听变得不可能或者容易被检测出。 在数据链路层，点对点的链路可能采用通信保密机进行 加密和解密，当信息离开一台机器时进行加密，而进入 另外一台机器时进行解密。所有的细节可以全部由底层 硬件实现，高层根本无法察觉。但是这种方案无法适应 需要经过多个路由器的通信信道，因为在每个路由器上 都需要进行加密和解密，在这些路由器上会出现潜在的 安全隐患，在开放网络环境中并不能确定每个路由器都 是安全的。当然，链路加密无论在什么时候都是很容易 而且有效的，也被经常使用，但是在Internet环境中并不 完全适用。
图1.5 网络安全处理过程
第一章 引论
1. 2 2. 3. 4. 5 5. 6.
网络的发展和变化 网络安全现状 网络安全层次结构 网络安全服务 安全标准和组织 安全保障
安全标准和组织
信息安全是信息系统实现互联、互用、互操作过程中提出
的安全需求，因此迫切需要技术标准来规范系统的设计和 实现。
信息安全标准是一种多学科、综合性、规范性很强的标准，
CPU模式案例 模式案例
Intel公司在奔腾III CPU中加入处理器序列号，因此 Intel涉嫌干涉个人隐私，但要害问题则是政府机关、重要 部门非常关心由这种CPU制造的计算机在处理信息或数据时 所带来的信息安全问题，即这种CPU内含有一个全球唯一的 序列号，计算机所产生的文件和数据都会附着此序列号， 因而由此序列号可以追查到产生文件和数据的任何机器。
网络安全复习(仅供参考)
第1章网络安全1.网络安全的基本属性机密性（Confidentiality）、完整性（Integrity）、可用性（Availability），简称CIA2.主动攻击、被动攻击的概念、区别，哪些攻击行为是主动攻击、哪些是被动攻击主动攻击是指对信息流进行篡改和伪造。
主要分为四类：伪装、重放、消息篡改、拒绝服务被动攻击指攻击者在未授权的情况下，非法获取信息或数据文件，但不对数据信息做任何修改。
常用的攻击手段有两种：消息泄露、流量分析主动攻击可以检测，但难以防范；被动攻击非常难以检测，但可以防范。
3.哪些攻击发生在TCP/IP协议簇的数据链路层、网络层、传输层（结合12章）数据链路层：ARP欺骗、网络嗅探网络层：IP欺骗、源地址欺骗、IP分片攻击、ping和traceroute、扫描传输层：利用三次握手、UDP欺骗4.TCP/IP协议簇的相关安全协议有什么？都发生在那一层？（结合12章）。
数据链路层：802.1X、EAP等IP层：IPSec等传输层：SSL/TLS等应用层：PGP，PKI、SET、SSH等5.OSI安全体系结构关注了哪三方面的内容？安全攻击、安全机制、安全服务第2章网络安全威胁6.常见的网络隐身技术包括哪些？IP地址欺骗、MAC地址欺骗、代理（Proxy）隐藏、网络地址转换（NAT）、账号盗用和僵尸主机等。
7.什么是IP地址欺骗？防范IP地址欺骗的措施有哪些？利用主机间的正常信任关系，通过修改IP报文中的源地址，以绕开主机或网络访问控制，隐藏攻击者的攻击行为。
防范措施有：1.在路由器上对包的IP地址进行过滤；2.使用随机化的ISN，使攻击者无法猜测出正常连接的序列号；3.使用加密的协议（如：IPSec、SSH等），并通过口令或证书等手段进行必要的身份认证；4.不使用任何基于IP地址的信任机制。
8.什么是MAC地址欺骗？攻击者将自己的MAC地址伪装成合法主机的MAC地址，诱使交换机将本应传输给合法主机的流量转发给攻击者。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第二章 网络安全 基础（二）
湖南大学 罗 纲 Email: luog@ QQ: 188 123 09
网络安全基础
TCP/IP体系 数据链路层 网络层协议 传输层协议 应用层协议
网络安全原理
2
网络层协议
IP =Internet Protocol(因特网协议) ICMP= Internet Control Message Protocol （网际控制报文协议） IP Routing（IP路由）
网络安全原理
52
网络安全原理
53
起点
终点
网络安全原理
54
网络安全原理
55
应用层协议
DNS HTTP FTP Email Telnet P2P 其他
网络安全原理
56
域名
域名是为每台主机起的有一定含义又便于记忆 的名字
例
18.181.0.21
61.187.64.6
网络安全原理
17
数据报
在互联网中，由于不同类型网络的帧格式不尽相同，给网络通 信造成了障碍
互联网IP协议中规定了一个新的网络“包” 类型——“IP数据报”（IP Datagram）
网络安全原理
18
IP 数据报的构成：IP包头 +IP数据
版本 V头长HL 服务类型 TOS 总长度 TLEN 标识符 Identification 标志Flag 分片偏移量 Offset 生存时间 TTL协议 Protocol 分组头校验和 Checksum 源 IP 地址 Source 目的 IP 地址 Destination IP 选项 Option 填充 Pad
数据
： 网络安全原理
19
由于帧大小受物理网络的限制，可能比IP数 据报小。就需要对IP数据报进行分片和重组 处理。
网络安全原理
20
网络安全原理
21
网络安全原理
22
ICMP
网 际 控 制 报 文 协 议 （ ICMP ， Internet Control Message Protocol）是用来提供差错报告服务的协议。ICMP报文要通过 IP协议发出去，且只向数据报的初始源主机发送错误报告报文。 ICMP报文格式:每个ICMP报文都是作为IP数据报的数据部分在 网络中进行传输的。其报文格式如图所示：
十进制表示： 255.255.255.0
网络安全原理
10
网络掩码实例
网络安全原理
11
网络掩码
将网络掩码和IP地址进行“与”逻辑运算， 即可获得IP地址中的网络地址部分
例、
一般情况下，A、B、C三类地址的网络掩码 分别为
A类：255.0.0.0 B类：255.255.0.0 C类：255.255.255.0
逻辑地址（IP地址）
物理地址（网卡地址）
安装在主机上的网卡的地址，每一块网卡都有一个全球唯 一的地址
网络安全原理
58
Internet的域名结构示意
根（root)
COM
GOV
EDU
......
CN
IBM
......
MIT
UCB
COM
EDU
DU
VNET
......
NJU
ZJNU
......
......
61
地址与域名的解析
报源抑制 重定向 回送请求 数据报超时
13
14 17 18
时间戳请求
时间戳响应 掩码请求 掩码回应
网络安全原理24来自ICMP的几个应用
用ICMP测试可达性：ping
PING发送ICMP回应请求给目的地，等待一个很短的时间 如果收到回应应答，则可达；若重发N次，仍没收到应答，则报告 不可达。 利用：数据包的TTL每经过一个路由器，就减1， TTL为0时路由器 将放弃该数据包，并发送ICMP差错报告（11-分组超时：0-TTL超 时）给源端。 方法：跟踪工具先发TTL=1的包给目的，得到第一个路由器的 ICMP报告，记录其IP；然后发TTL=2，记录第二个路由器，然后3， 4。。。 由于可能的包丢失，必须准备重发没响应的包。
网络安全原理
46
TCP Session Termination-1
Host A Host B
1
FIN (seq=m)
网络安全原理
47
TCP Session Termination-2
Host A Host B
1
FIN (seq=m) ACK m+1
2
网络安全原理
48
TCP Session Termination-3
用ICMP跟踪路由：traceroute
网络安全原理
25
发数据给Z
不知道如何 到达Z？ 用ICMP通知A A B 数据网
到Z的数据 目的端无法到达
网络安全原理
26
Time To Live
网络安全原理
27
网络安全原理
28
网络安全原理
29
安全漏洞
网络安全原理
30
利用ICMP 协议的DDOS攻击
网络安全原理
9
网络掩码
使用网络掩码的目的：
为了使计算机能自动地从IP地址中分离出网络地址
对应于IP地址中的网络地址部分和主机地址部分， 在网络掩码中分别用“1”和“0”来表示
例、 对于C类IP地址210.33.80.8， 网络掩码：
11111111 11111111 11111111 00000000
0 8 16 IP报文头 ICMP报文类型 ICMP报文说明 报文校验和 24 32
根据报文类型和报文说明不同，有不同内容
网络安全原理
23
•
“ICMP报文类型”字段为1字节，其取值 含义如下表：
含义 回送响应 ICMP报文类型值 12 含义 数举报参数错误 0
ICMP报文类型值
3
4 5 8 11
目的不可达
利用握手中的前两步，而不进行第三步，造 成服务器对应TCP-SYN连接进入等待状态 伪造来源地址
减少本机的TCP资源消耗 避免攻击者被发现
服务器上可用TCP连接是有限的
网络安全原理
45
释放TCP连接过程 TCP是全双工的，一个连接具有两个方向的数据传输， 因此连接释放需要分别释放两个方向。 当一方的应用程序通知TCP已无数据需要发送时，TCP 关闭此方向的连接，这时此方向只能接收对方的数据， 而不能发送其它数据了（除了释放连接的消息）。然后 发送一个FIN位被设置的消息通知接收方没有数据发送。 接收方响应确认。 同时，接收方通知应用程序释放连接，发送回连接释放 消息，最终释放整个连接。
网络安全原理
12
包
网络安全原理
13
网络安全原理
14
网络安全原理
15
包的多路复用：
网络先允许一台计算机发送一个包 然后允许另一台计算机发送一个包 如此进行直至数据全部发送完成 16
网络安全原理
帧
为了区别各种特定硬件中包的不同情况，用 “帧”（Frame）来定义在特定网络类型中 的包 在OSI模型的链路层，帧是数据传输的基本 单位 每一种网络技术都对它所使用的帧的技术细 节作出了严格定义
麻省理工学院
湖南大学
域名采用分层结构：
主机名. 3级域名. 2级域名. 顶级域名
网络安全原理
57
每台主机（Host）,都同时对应着3个标识：
域名
主机的一个具有一定含义又便于记忆的名字，它经由授权 单位认定，在Internet网上是唯一的。 由授权单位统一指定的逻辑地址，也不重复
网络安全原理
35
TCP数据报文结构：
IP 首部 TCP 首部 TCP 数据
源端口号 16 位 序号 确认序号 首部长度(4) 保留(6) 检校和(16) 选项 标识(6)
目的端口号 16 位
窗口大小(16) 紧急指针(16)
网络安全原理
36
TCP的三次握手 三步握手的过程：
第一步：发起方发送一个消息，其SYN位被设置； 第二步：响应方收到消息后，发回一个消息，SYN和ACK位均被设 置，表示可以继续； 第三步：确认响应，ACK位被设置，表示双方均同意连接，连接建 立。 保证双方都相互知道对方已准备好进行数据传输 双方确认一个数据传输的初始序列号，如下图中，发送方的初始序 列号为x，接收方的初始序列号为y，均被对方确认
IP 首部 UDP 首部 UDP 数据
UDP数据封装：
UDP 源端口(16 位) UDP 报文长度 数据 ……
UDP 目的端口(16 位) UDP 检校和
网络安全原理
51
TCP与UDP的比较
1.TCP提供的服务 面向连接、可靠传输、流量控制、拥塞控制 不提供实时和最小带宽保证 2.UDP提供的服务 不可靠的数据传输、简单高效 不提供连接建立、可靠性、流量控制、拥塞控制、 实时和最小带宽保证
UDP基本情况：
UDP是一个简单的面向数据报的运输层的协议，它提供协议端口，使 得应用进程能够向其他进程发送数据报，进行进程间的数据通信。 UDP数据报是无连接、不可靠的。不提供确认、消息反馈控制，与IP 数据报相同。可靠性要需要由应用程序本身提供。 UDP规范(RFC-768，1980）。 UDP利用IP进行主机到主机的数据报传输。 UDP的特点是传输速度快。